在 Workspace ONE Access 目录设置过程中,您可以选择要从企业目录同步到 Workspace ONE Access 目录的用户属性。您可以从 Workspace ONE Access 控制台的 页面中管理用户属性列表。
默认属性
“用户属性”页面列出了可映射到 Active Directory 或 LDAP 目录属性的默认 Workspace ONE Access 目录属性。
您可以选择哪些属性是必需属性,哪些属性是可选属性。对于所有同步的用户记录,必须填充标记为“必需”的属性。缺少必需属性值的用户记录将不会同步到 Workspace ONE Access。还请记住,必须先将属性标记为“必需”,然后才能在 Workspace ONE Access 服务中创建任何目录。在创建目录后,您无法再将属性更改为必需属性。
下表列出了具有到 Active Directory 属性的默认映射的属性。您可以在创建 Workspace ONE Access 目录时更新这些映射。
Workspace ONE Access 目录属性名称 | 默认映射到的 Active Directory 属性 |
---|---|
userPrincipalName | userPrincipalName |
域 | canonicalName 添加对象的完全限定域名。 |
disabled(已禁用外部用户) | userAccountControl。带有 UF_Account_Disable 标记。 帐户停用后,用户将无法登录以访问其应用程序和资源。为用户分配的资源不会从帐户中移除,这样从帐户移除该标记后,用户便可以登录并访问为其分配的资源。 |
distinguishedName | distinguishedName |
电子邮件 | |
employeeID | employeeID |
名字 | givenName |
姓氏 | sn |
sourceAnchor | objectGUID |
手机 | telephoneNumber |
用户名 | sAMAccountName: |
自定义属性
在“用户属性”页面上,您还可以输入要同步到目录的其他属性。在添加属性时,您输入的属性名称区分大小写。例如,address、Address 和 ADDRESS 分别是不同的属性。
无法将以下属性作为自定义属性名称,因为 Workspace ONE Access 服务在内部使用这些属性进行用户身份管理。
active | externalId | locale | phoneNumbers | timezone |
addresses | externalUserDisabled | meta | photos | title |
displayName | 组 | name | preferredLanguage | userName |
emails | id | nickName | profileUrl | userType |
employeeNumber | ims | 密码 | schemas | x509Certificates |
属性的工作方式
“用户属性”页面中的属性适用于 Workspace ONE Access 服务中的所有目录。更改用户属性时,请考虑此操作对所有目录的影响。例如,如果您计划同时添加 Active Directory 和 LDAP 目录,请确保不要将任何属性标记为“必需”,但 Username 除外。如果将属性标记为“必需”,则不包含该属性值的用户记录将不会同步到 Workspace ONE Access 服务。
在创建目录时,将在向导的映射属性部分中显示“用户属性”页面中的属性列表,您可以指定 Workspace ONE Access 属性与 Active Directory 或 LDAP 目录属性之间的映射。在创建目录后,您可以从目录的同步设置选项卡中查看和更新属性映射。
在 Workspace ONE Access 服务中创建任何目录后,您将无法再在“用户属性”页面上将属性标记为“必需”。仍然允许对用户属性进行以下更改:
- 添加自定义属性(“用户属性”页面)
- 删除自定义属性(“用户属性”页面)
- 将必需属性更改为可选属性(“用户属性”页面)
- 更改属性映射(目录的同步设置选项卡)
创建目录后在“用户属性”页面中完成并保存的更改将在下次同步时应用到目录。
重要要求
- 如果将任何用户属性映射到 Active Directory 属性 objectGUID 或 mS-DS-ConsistencyGuid,则所有用户必须在 Active Directory 中具有非空属性值,并且该值的长度必须恰好为 16 字节。此外,您必须使用正确大小写将 Workspace ONE Access 属性映射到正确的 Active Directory 属性名称。如果属性名称不匹配,则会返回 Null 值,并且目录同步失败。例如,如果在 Active Directory 中使用 mS-DS-ConsistencyGuid 属性,并在 Workspace ONE Access 中指定 ms-DS-ConsistencyGuid,目录同步将失败。
- sourceAnchor 属性具有以下要求:
- sourceAnchor 属性区分大小写。
- 在将用户同步到 Workspace ONE Access 后,无法更改属性值。
- 属性值的长度必须少于 60 个字符。不是 a-z、A-Z 或 0-9 的字符将编码并计为 3 个字符。
- 属性值不得包含特殊字符:\ ! # $ % & * + / = ? ^ ` { } | ~ < > ( ) ' ; : , [ ] " @ _
- 如果将 sourceAnchor 属性映射到非字符串类型的属性,则对属性值进行 Base64 编码以确保不会出现特殊字符,并确保这些值与 Microsoft 编码格式匹配。
- 如果将 sourceAnchor 属性映射到二进制属性,请确保这些值符合正确的 GUID 格式。
- 有关属性要求的完整列表,请参阅 Microsoft 文档中的选择良好的 sourceAnchor 属性。